Vandaag, 11 oktober 2026, sloot de internetconsultatie over de Wet bescherming nationale veiligheid door de inlichtingen- en veiligheidsdiensten (Wbnv), de opvolger van de Wiv 2017. Voor wie zich met open source intelligence (OSINT) bezighoudt, is één keuze in het voorstel bepalend: de AIVD en de MIVD mogen gegevens uit open bronnen verzamelen zonder voorafgaande toestemming, ook stelselmatig en ook in bulk. De voor de hand liggende kritiek is dat ten opzichte van de Wiv daarmee een drempel verdwijnt. Ik denk dat de keuze juist is, onder één voorwaarde: de waarborgen moeten zitten in wat de diensten met de gegevens doen, niet in wat zij binnenhalen. Dat is ook het uitgangspunt van de Wbnv zelf. Het probleem is dat het voorstel dat uitgangspunt bij open bronnen niet consequent volhoudt. Die punten heb ik ook in de consultatie ingebracht en ik licht het onderstaand toe.
Ruim verzamelen is de juiste keuze
Art. 62 Wbnv bepaalt kortweg dat de diensten bevoegd zijn ‘tot het verzamelen van gegevens uit voor een ieder toegankelijke informatiebronnen’. Het is een algemene bevoegdheid. Er is geen toestemming van de minister nodig; wel gelden de algemene eisen van noodzaak, proportionaliteit en subsidiariteit (art. 16) en de plicht om aantekening te houden (art. 17). Het criterium ‘stelselmatigheid’ uit de Wiv 2017, waardoor het continu raadplegen van iemands sociale media toestemming vereiste, verdwijnt (MvT p. 65-67). Ook bulkgegevens kunnen via open bronnen worden verzameld. De specifieke waarborgen gelden pas bij de verdere verwerking, ‘[v]anwege de harde knip tussen verzameling en verdere verwerking’ (MvT p. 76 en 79).
De toelichting omschrijft een open bron bovendien helder: een bron waartoe ‘zonder aanziens des persoons’ toegang wordt verleend, ook als daarvoor een abonnement of account nodig is, en dus niet een bron met een ‘deurbeleid’, zoals toegang op persoonlijke uitnodiging (MvT p. 257). Dat sluit aan bij wat ik eerder betoogde: openheid wordt aan de bronzijde bepaald, door wie de toegang beheert.
Waarom is ruim verzamelen de goede keuze? OSINT is een verzameldiscipline: de methodische verzameling en benutting van informatie uit publiek toegankelijke bronnen om een inlichtingenbehoefte te vervullen. Op het moment van verzamelen is vaak niet te overzien wat een gegeven waard zal blijken. De MvT zegt dat in een ander verband zelf: het dreigingsbeeld ‘moet nog worden gevormd’, en soms blijkt ‘pas in een later stadium’ dat gegevens waarde hebben (MvT p. 105).
Een toets vooraf zou dwingen tot een oordeel dat op dat moment nauwelijks te geven is. De ervaring met de relevantieverklaring onder de Wiv 2017, die de regering ‘geen werkbare vorm’ noemt om gegevens te reduceren (MvT p. 105), wijst in dezelfde richting. Daar komt bij dat open bronnen vaak het startpunt en de triage van een onderzoek vormen, juist om zwaardere middelen te vermijden (MvT p. 65). Wie die eerste stap van drempels voorziet, maakt het zwaardere middel relatief aantrekkelijker.
In mijn eerdere blogpost over wat ‘open’ betekent, stelde ik, naar aanleiding van de strengere lezing van de CTIVD: ‘The strictness belongs to the power, not to the source.’ Ik zou dat nu scherper formuleren: de strengheid hoort bij de verwerking, niet bij de verzameling.
De kern van de Wbnv: waarborgen in de verwerking
De Wbnv kiest uitdrukkelijk voor die benadering. Onder de Wiv 2017 bepaalde de wijze van verzamelen de waarborgen bij de verdere verwerking. ‘Dat principe is in het voorliggende wetsvoorstel losgelaten’, schrijft de regering, omdat de inbreuk die ‘ná het verzamelen’ wordt gemaakt in veel gevallen niet afhangt van de bevoegdheid waarmee de gegevens zijn verzameld (MvT p. 104). En verderop: ‘De aard en het gebruik van de gegevens zijn veel maatgevender voor de inbreuk die wordt gemaakt op de persoonlijke levenssfeer’ (MvT p. 106).
Het voorstel werkt dat uit in waarborgen in het interne proces. Gegevens die bijdragen aan een onderzoek gaan naar een dossier, dat ‘voor (intern) toezicht navolgbaar’ moet zijn (art. 101 lid 2; MvT p. 107). Specifieke gegevens krijgen een bewaartermijn die aan de looptijd van het onderzoek is gekoppeld, met een periodieke beoordeling bij langlopende onderzoeken (art. 102). Bulkgegevens kennen drie verwerkingsregimes met eigen toegangs- en bewaarregels (art. 103-109). Voor automatisering gelden een zorgplicht, extra eisen voor risicotoepassingen en verboden op handelen uitsluitend op basis van geautomatiseerde resultaten (art. 32-36). De diensten moeten een onafhankelijke compliance- en auditfunctie inrichten (art. 14; MvT p. 154), en het nieuwe College van Toetsing en Toezicht krijgt bindend toezicht op onder meer de verlenging van bewaartermijnen van bulkgegevens (MvT p. 112). Dat is de goede architectuur voor OSINT maar de vraag is of het voorstel haar consequent toepast.
Een zwakke rechtvaardiging
De eerste zwakte zit in de toelichting op art. 62 zelf. Daar rechtvaardigt de regering de ruime bevoegdheid niet met de waarborgen in de verwerking, maar met het argument dat de inbreuk ‘over het algemeen geringer’ is, omdat ‘de gegevens […] immers publiek bekend’ zijn (MvT p. 65). Dat argument is kwetsbaar, denk maar aan de Odido database die publiek bekend is; de inbreuk die velen daardoor ervaren kan moeilijk gering worden genoemd.
De CTIVD stelde in rapport 74 vast dat een ‘eenvoudige naslag’ met de onderzochte OSINT-tools ‘een min of meer volledig beeld van bepaalde aspecten van het privéleven’ kan opleveren. Het Europees Hof voor de Rechten van de Mens oordeelde in Rotaru/Roemenië (2000, par. 43) dat openbare informatie onder het privéleven kan vallen ‘where it is systematically collected and stored in files held by the authorities’. En de MvT erkent zelf dat ‘[h]et voortdurende correleren en combineren van alle gegevens’ een steeds completer beeld geeft (MvT p. 34).
Opvallend is dat deze drie bronnen de inbreuk niet lokaliseren in de openheid van de bron, maar in wat er met de gegevens gebeurt: samenvoegen, doorzoeken, bewaren en combineren. De juiste rechtvaardiging van art. 62 is dus niet dat de gegevens openbaar zijn, maar dat de inbreuk pas bij de verwerking ontstaat en daar met waarborgen is omkleed. Dat argument is robuuster, en het is het argument van de Wbnv zelf.
Waar het voorstel zijn eigen uitgangspunt loslaat
Op vier punten maakt het voorstel de verwerking van open-brongegevens toch afhankelijk van de wijze van verzamelen of van de status van de bron, of ontbreekt een waarborg in de verwerking.
Bewaartermijn. De MvT stelt voor ‘specifieke gegevens’, dat wil zeggen alle persoonsgegevens die geen bulkgegevens zijn, te bewaren tot twee jaar na afsluiting van het onderzoek, met een beoordeling na tien jaar bij langlopende onderzoeken (MvT p. 106 en 108). Art. 102 beperkt die regeling echter tot persoonsgegevens ‘die zijn verzameld met de uitoefening van bijzondere bevoegdheden’; de artikelsgewijze toelichting bevestigt dat (MvT p. 281). Persoonsgegevens die met art. 62 stelselmatig over een persoon worden verzameld, vallen erbuiten. Voor hen geldt alleen de algemene plicht om gegevens zonder betekenis te verwijderen (art. 98). Juist als de verzameling vrij is, moet de bewaring geregeld zijn.
Regime voor bulkgegevens. De minister kan naast de opbrengst van bulkinterceptie andere sets als ‘bijzondere bulkgegevens’ aanwijzen, het regime met de zwaarste waarborgen (art. 108). Volgens de MvT geldt daarvoor als voorwaarde ‘dat deze niet publiek beschikbaar zijn of zijn geweest’ (MvT p. 113). Daarmee bepaalt de status van de bron het verwerkingsregime, en niet de aard van de gegevens.
Waardering. Art. 20 lid 2 laat een verwijzing naar de bron volstaan in plaats van een aanduiding van de betrouwbaarheid. De toelichting werkt betrouwbaarheid alleen uit voor technische en menselijke bronnen (MvT p. 228). Voor open bronnen, zeker voor commerciële aggregators en gelekte data, zegt een bronverwijzing weinig. Herkomst, authenticiteit en volledigheid vragen elk een eigen beoordeling, zoals ik eerder uitwerkte. De enige waarborg die de MvT voor commerciële aanbieders noemt, een achtergrondcontrole die ‘eenmaal per aanbieder’ plaatsvindt (MvT p. 68), toetst de leverancier bij de verzameling en niet de gegevens bij de verwerking.
Automatisering. De CTIVD beval in rapport 74 een ‘meer voorzienbare wettelijke grondslag met voldoende waarborgen’ aan voor automated OSINT. De MvT kondigt aan die aanbeveling te betrekken (MvT p. 12-13), en de logische plek daarvoor is de regeling voor automatisering in art. 32 tot en met 36. Art. 33 lid 2 zondert echter toepassingen uit die ‘in het maatschappelijk verkeer gebruikelijk’ zijn, met zoekmachines en een taalmodel dat teksten vertaalt en samenvat als voorbeeld (MvT p. 42). Voor breed verkochte OSINT-platforms is dat al snel te betogen. Bovendien valt het extern raadplegen van datasets, waarbij alleen de resultaten worden overgenomen, buiten de bulkregeling (MvT p. 79). Of een toepassing gangbaar is, zegt echter niets over wat zij met persoonsgegevens doet.
Eén dataset, twee regimes
Neem een database van een buitenlandse instelling met locatie- en gezondheidsgegevens van duizenden mensen. Halen de diensten die zelf binnen met de hackbevoegdheid (art. 76 en 78), dan kan de minister de set als bijzondere bulkgegevens aanwijzen (art. 108). Bevraging is dan een bijzondere bevoegdheid met een bindende rechtmatigheidstoets (art. 84 en 47 onder i), en de bewaartermijn van drie jaar kan niet worden verlengd (art. 108 lid 2).
Wordt dezelfde database door een derde gehackt en op een openbaar forum gezet, dan kunnen de diensten haar op grond van art. 62 downloaden. Dat vind ik terecht. Maar omdat de set publiek beschikbaar is geweest, kan zij volgens de MvT niet als bijzondere bulkgegevens worden aangewezen. Zij valt dan in het standaardregime: bevraging met ministeriële toestemming per doel, zonder onafhankelijke toets vooraf, en een bewaartermijn van drie jaar die steeds kan worden verlengd (art. 65 lid 3 en 105). De gegevens zijn dezelfde en de inbreuk bij de verwerking is dezelfde, maar het regime verschilt door de route. Dat is precies wat de Wbnv zegt los te laten. Daarbij komt dat een gelekte set afkomstig kan zijn uit een hack-and-leak-operatie van een statelijke actor, zodat de authenticiteit allesbehalve vanzelfsprekend is.
Een kanttekening bij art. 42
Wie de lijn doortrekt, stuit nog op één punt. Art. 42 verplicht de diensten voortaan ook voor algemene bevoegdheden in inlichtingenonderzoeken toestemming van de rechtbank Den Haag te vragen voor de inzet jegens onder meer Kamerleden en leden van het College van Toetsing en Toezicht (MvT p. 36-37 en 242). Naar de letter geldt dat ook voor het gericht raadplegen van hun openbare uitingen. De regering motiveert dit met de staatsrechtelijke verhoudingen (MvT p. 280), en dat is een legitieme politieke keuze. Het blijft wel een toets bij de verzameling. Het voorstel kent zelf een ander model: bij advocaten en journalisten moeten onvoorzien verzamelde vertrouwelijke gegevens worden vernietigd, tenzij de rechtbank toestemming geeft voor verdere verwerking (art. 100). Voor open bronnen ligt een toets bij de verwerking meer voor de hand.
Conclusie
Het wetsvoorstel Wbnv maakt mijns inziens de goede keuze: ruim verzamelen uit open bronnen, zonder toets vooraf, en waarborgen in de verwerking. Bij open bronnen houdt het voorstel dat uitgangspunt alleen niet vol. In mijn consultatiereactie heb ik daarom vier aanpassingen voorgesteld, die alle uit de eigen logica van de Wbnv volgen. Laat de bewaartermijn van art. 102 gelden voor alle specifieke persoonsgegevens in inlichtingenonderzoeken, ongeacht de bevoegdheid waarmee ze zijn verzameld. Laat de aard van de gegevens bepalen of een set als bijzondere bulkgegevens wordt verwerkt, en schrap de uitsluiting van publiek beschikbare sets. Maak voor gegevens uit open en commerciële bronnen een betrouwbaarheidsaanduiding verplicht, met aandacht voor herkomst en authenticiteit. En laat de waarborgen voor risicotoepassingen gelden voor toepassingen die persoonsgegevens uit meerdere bronnen samenvoegen, hoe gangbaar die toepassingen ook zijn. Daarnaast verdient de definitie van een open bron een plaats in de wet zelf: als de verzameling vrij is, is die definitie de enige grens (MvT p. 66-67 en 257).
Open bronnen worden al sinds het midden van de negentiende eeuw methodisch benut om inlichtingenbehoeften te vervullen. Die geschiedenis laat zien dat de waarde van open bronnen nooit in de bron zelf zat, maar in hoe slim ensystematisch de organisatie er mee om ging. Daar zitten ook de risico’s, en daar moet de wet dus aangrijpen.
Bronnen
Voorstel van Wet bescherming nationale veiligheid door de inlichtingen- en veiligheidsdiensten en memorie van toelichting, consultatieversie, internetconsultatie 28 augustus tot en met 11 oktober 2026, www.internetconsultatie.nl/wbnv/b1
CTIVD, Toezichtsrapport nr. 74 over automated OSINT door de AIVD en de MIVD, Den Haag 2022, www.ctivd.nl/documenten/2022/02/08/rapport-74
EHRM 4 mei 2000, nr. 28341/95 (Rotaru/Roemenië)
Block, L., ‘The long history of OSINT’, Journal of Intelligence History, 2024, 23(2), doi.org/10.1080/16161262.2023.2224091